Vsphere Host nur von Bestimmter dydns Erreichbar machen

[Stefan.r]

hallo,
undzwar beschäftigt mich die Frage ob ich Ohne Externe Firewall den Server so absichern kann das man auf den Host nur mir einer bestimmten IP/dydns kommt, die Vms(da hat jede eine eigene Ip durch das Subnet) aber Unangetasted bleiben.

LG
Stefan

[irix]

Ja in dem Security Profile kannst du fuer die Dienste eine IP/Range hinterlegen.

- Du hast doch aber keine feste IP oder?
- Die Anzahl der Dienste muesste man muehsam finden
- Dienste auf dem ESXi werden ja je nach Bedarf erst gestartet

Hört sich irgendwie noch nicht nach einer guten Loesung an.

Gruss
Joerg

[Stefan.r]

naja wegen der ip würde ich gerne nen dydns eintragen, normale Iptables supporten Das ja, Frage wäre nur ob der Esx das auch tut und ob ich wenn ich da die Einträge setze nicht auch gleich allle Vms da drauf am internet hindere.

Habe hier das Problem das mein Chef die Hardware Firewall sparen möchte und ich wege suche das ding Abzusichern.

lg
Stefan

[~thc]

naja wegen der ip würde ich gerne nen dydns eintragen, normale Iptables supporten Das ja

Wie genau meinst du das? Wenn du in iptables eine dyndns-Adresse angibst, trägt er die nur aktuelle IP ein. Beim nächsten IP-Wechsel ist die Regel obsolet.

Habe hier das Problem das mein Chef die Hardware Firewall sparen möchte und ich wege suche das ding Abzusichern.

Ein vSphere-Host gehört nicht direkt ins Internet. Alles andere ist fahrlässig. Es darf auch ein Consumer-Grade-INet-Router oder eine Software-Firewall sein.

[rprengel]

Habe hier das Problem das mein Chef die Hardware Firewall sparen möchte und ich wege suche das ding Abzusichern.

lg
Stefan

Wenn kommerziell und kostenlos dann IPCOP für den Einstieg.
Alter PC + 2 bis 4 Netzwerkkarten und alles ist gut.
Probleme kann es geben wenn die Netzwerklast das System ans Limit bringt. Dann muss halt ein stärkerer PC ran.
ESX direkt ins Internet ist ein untrügöiches Zeichen völliger Inkompetenz, gerne kombiniert mit einer ausgeprägteb Beratungsresistenz.
Wenn du das umsetzten muss lasses dir ausdrücklich schriftlich geben. Nür für den Fall das mal ein Bauernopfer gesucht wird.
Un nein die Gäster gehören auch nicht direkt ins Internet. sonden laufen auch über die Firewall.

Gruss

[Stefan.r]

naja wegen der ip würde ich gerne nen dydns eintragen, normale Iptables supporten Das ja

Wie genau meinst du das? Wenn du in iptables eine dyndns-Adresse angibst, trägt er die nur aktuelle IP ein. Beim nächsten IP-Wechsel ist die Regel obsolet.

realy? muss ich morgen mal checken, weil ich den Nagios NRPE eigentlich so eingerichtet habe(glaube ich muss nochmal schauen)

Habe hier das Problem das mein Chef die Hardware Firewall sparen möchte und ich wege suche das ding Abzusichern.

Ein vSphere-Host gehört nicht direkt ins Internet. Alles andere ist fahrlässig. Es darf auch ein Consumer-Grade-INet-Router oder eine Software-Firewall sein.

Angebot 2 was wir haben wäre das Management (meint wohl port 443) mit nem ssl vpn abgesichert

lg
Stefan

[rprengel]

Angebot 2 was wir haben wäre das Management (meint wohl port 443) mit nem ssl vpn abgesichert

lg
Stefan

Ipcop kann auch VPN
es gibt auch noch smoothwall

Gruss

[UrsDerBär]

Wie genau meinst du das?

Na dass er eine DNS Adresse und nicht eine IP-Adresse eintragen möchte.

Dass dies Quatsch ist, wurde ja bereits gesagt. Waren auch schon einige hier von einem vShere Hack betroffen wenn ich mich richtig erinnere. Wenn dann bitte also z.B. ne VPN-Box davor hängen. Dürfte technisch die einfachste Lösung sein.
Gibt da fixfertige Plug-N-Play-Hardware-Teile die z.B. für Maschinenwartungen verwendet werden. Das dürfte hier auch ned verkehrt sein zumal denen Dynamic IP's egal sind.

[rprengel]

Wie genau meinst du das?

Na dass er eine DNS Adresse und nicht eine IP-Adresse eintragen möchte.

Dass dies Quatsch ist, wurde ja bereits gesagt. Waren auch schon einige hier von einem vShere Hack betroffen wenn ich mich richtig erinnere. Wenn dann bitte also z.B. ne VPN-Box davor hängen. Dürfte technisch die einfachste Lösung sein.
Gibt da fixfertige Plug-N-Play-Hardware-Teile die z.B. für Maschinenwartungen verwendet werden. Das dürfte hier auch ned verkehrt sein zumal denen Dynamic IP's egal sind.

Abgesehn davon könnte auch so ein dyndns-Dienst klemmen.
Und dann wird es schäbig wenn man keinen Plan B hat um an die Systeme zu kommen.
Gruss

[Stefan.r]

Wie genau meinst du das?

Na dass er eine DNS Adresse und nicht eine IP-Adresse eintragen möchte.

Dass dies Quatsch ist, wurde ja bereits gesagt. Waren auch schon einige hier von einem vShere Hack betroffen wenn ich mich richtig erinnere. Wenn dann bitte also z.B. ne VPN-Box davor hängen. Dürfte technisch die einfachste Lösung sein.
Gibt da fixfertige Plug-N-Play-Hardware-Teile die z.B. für Maschinenwartungen verwendet werden. Das dürfte hier auch ned verkehrt sein zumal denen Dynamic IP's egal sind.

Abgesehn davon könnte auch so ein dyndns-Dienst klemmen.
Und dann wird es schäbig wenn man keinen Plan B hat um an die Systeme zu kommen.
Gruss

mhm okay, was ist mit der Idee nur die Management Service per vpn abzusichern?, das würde datafabrik.de nämlich schon mit drin anbieten(muss mich ja leider den Vorgaben beugen auch wenn ichs nicht möchte)

lg
Stefan

[rprengel]

mhm okay, was ist mit der Idee nur die Management Service per vpn abzusichern?, das würde datafabrik.de nämlich schon mit drin anbieten(muss mich ja leider den Vorgaben beugen auch wenn ichs nicht möchte)

lg
Stefan

Systeme sollten NIEMALS ohne vorgeschaltete Firewall aus dem Internet erreichbar sein.
Was zur Not noch geht ist einen ESX Gast als Firewall zu nutzen aber das ist eigentlich nur im privaten Umfeld akzeptabel.
Nimmt euch jemand von aussen ein Gastsystem hoch kann er versuchen weitere Gäste oder den Host zu übernehmen.
Weiter ist es nur eine Frage der Zeit das versehentlich oder absichtlich weitere Dienste auf Gästen gestartet werden die dann von aussen ereichbar sind.
Gerne genommen ist da RDP weil ist ja so schön bequemsich mal eben von aussen einzuwählen.
Gruss

[Stefan.r]

okay, nach dem tellen hat sich herausgestellt das es sich um ein Missverständnis handelte, der Vsphere wird in beiden Fällen nur per VPN erreichbar sein(es ist "lustig" das unser alter Anbieter Hosteurope den einfach so ins Web gehängt hat)

Des Rest also die Vms kann ich mit Iptables absichern

[rprengel]

okay, nach dem tellen hat sich herausgestellt das es sich um ein Missverständnis handelte, der Vsphere wird in beiden Fällen nur per VPN erreichbar sein(es ist "lustig" das unser alter Anbieter Hosteurope den einfach so ins Web gehängt hat)

Des Rest also die Vms kann ich mit Iptables absichern

Was soll ein Hoster sonst ohne grossen Aufwand machen?
Aber gut das bei dir das Thema durch ist.

Gruss

[Stefan.r]

naja ich gehe mal von aus da ich nichtmal nen vpn brauchte das unser alter eben doch einfach im Netz hing obwohl es eigentlich ein Managed Vsphere war.

jedenfalls trotzdem allem vielen Dank für die Klärung meiner Fragen.

LG
Stefan